ChatGPT s’utilise désormais pour rédiger des courriels, résumer des PDF ou relire des contrats. Or un fichier déposé dans la fenêtre de conversation n’est pas effacé une fois la réponse obtenue : il est journalisé, peut être conservé plusieurs semaines et, sur les offres personnelles, servir à l’entraînement futur du modèle si l’utilisateur ne désactive pas cette option.
Durées de conservation selon le type d’offre
Sur les offres grand public standard, les fichiers liés à une conversation subsistent aussi longtemps que cette conversation existe dans le compte. Supprimer la discussion ne garantit pas la disparition immédiate du fichier des systèmes concernés : un délai pouvant aller jusqu’à 30 jours s’applique.
Les offres entreprise suivent d’autres règles. Un fichier importé qui n’est pas enregistré dans une bibliothèque partagée expire automatiquement en 48 heures. Pour les utilisateurs hors entreprise, la fenêtre est encore plus courte : environ trois heures avant l’expiration du fichier brut, étant entendu que le contenu extrait peut persister bien plus longtemps.
Un litige en cours entre le New York Times et l’entreprise a par ailleurs contraint cette dernière à conserver indéfiniment journaux de conversation et fichiers importés pendant une période en 2025. La suppression standard à 30 jours a depuis repris, mais l’épisode rappelle qu’effacer une discussion ne signifie pas toujours effacer les données qu’elle contenait.
Des documents à ne pas confier à un outil grand public
Certains fichiers présentent un risque trop élevé, quelle que soit l’utilité de la réponse attendue. Les déclarations de revenus arrivent en tête : elles réunissent sur un même document un numéro de sécurité sociale, des montants de revenus et des coordonnées bancaires, soit précisément le type d’ensemble dangereux en cas d’exposition.
Les dossiers médicaux et résultats d’analyses relèvent de la même prudence, car les chatbots grand public ne sont ni conçus ni certifiés pour traiter des données de santé protégées comme le fait le système d’un hôpital. Les scans de pièces d’identité, passeports ou permis de conduire, appellent la même méfiance : une seule image divulguée peut suffire à ouvrir des lignes de crédit au nom d’autrui. Mots de passe, codes à usage unique, clés d’API et identifiants de récupération ne doivent pas non plus être saisis ou importés, aucun diagnostic n’exigeant légitimement ces secrets de connexion.
Les fichiers professionnels et les métadonnées
Les documents de travail sont sans doute plus risqués encore, car ils contiennent souvent des données appartenant à d’autres personnes ou des travaux protégés. Contrats couverts par un accord de confidentialité, présentations stratégiques internes, feuilles de route de produits non annoncés et listes de clients entrent dans cette catégorie : leur importation peut violer un engagement de confidentialité même lorsque l’utilisateur a le droit de lire le document.
Une étude sectorielle situe autour de 11 à 12 % la part d’informations commerciales confidentielles parmi les contenus que les employés collent dans ChatGPT, tandis que d’autres travaux relèvent des données sensibles dans plus de 20 % des fichiers importés dans les outils d’IA au sens large. Détails personnels d’un client, évaluation professionnelle d’un collègue ou chiffres financiers d’une entreprise partenaire ne sont pas des données que l’on partage pour obtenir un résumé rapide.
Le fichier lui-même n’est pas la seule exposition. Un document texte conserve souvent les noms d’auteurs, les modifications suivies et l’historique des commentaires, à moins de nettoyer explicitement ces métadonnées. Les photos prises au téléphone intègrent des coordonnées GPS indiquant le lieu de prise de vue. Un tableur peut renfermer des onglets masqués non prévus, et un formulaire numérisé un numéro de compte oublié dans un coin non recadré.
Réduire le risque : réglages et anonymisation
Pour continuer à travailler sur des documents sans exposer l’essentiel, quelques habitudes limitent les dégâts. Désactiver l’option d’amélioration du modèle pour tous, dans les paramètres de contrôle des données, empêche l’usage des fichiers importés pour l’entraînement, sans modifier la durée de conservation. Le mode de conversation temporaire constitue une autre option : ces échanges et leurs fichiers sont automatiquement supprimés sous 30 jours et ne servent pas à l’entraînement.
La solution la plus efficace reste toutefois de masquer avant d’importer. Remplacer noms réels, numéros de compte et adresses par des valeurs fictives évite que la partie sensible du document quitte l’appareil. Les offres professionnelles et entreprise excluent les fichiers importés de l’entraînement par défaut et proposent des contrôles de conservation plus stricts, ce qui les rend plus adaptées aux contenus confidentiels.
Ce qui est confirmé et ce qui reste incertain
Les durées de conservation selon les offres, le traitement des fichiers en entreprise, l’effet du mode temporaire et du réglage d’entraînement constituent des points documentés. En revanche, l’étendue exacte des contenus extraits conservés au-delà de l’expiration du fichier brut n’est pas précisée, pas plus que les modalités techniques de purge après suppression d’une conversation. La prudence consiste donc à considérer tout import comme une transmission durable plutôt qu’à supposer une disparition immédiate.